文 | 北京金融科技产业联盟 聂丽琴 胡达川 王硕
习近平总书记在中央政治局第三十四次集体学习时强调，推动数字经济健康发展，要完善治理体系，健全法律法规，改进提高监管技术和手段。2021年11月1日，《个人信息保护法》正式实施，从法理高度为个人信息保护提供支撑，对促进数字经济发展过程中出现的个人信息过度收集、数据垄断、安全风险等问题的解决有重要意义。
近年来，随着移动互联网、大数据、人工智能等新兴技术的创新应用，金融业积累了大量的个人信息数据，如身份信息、金融交易、个人信用以及个人衍生数据。身份信息作为个人信息数据的钥匙，其安全性、便利性直接影响金融数据要素价值。
个人身份信息应用面临的挑战
按照《反洗钱法》《金融机构反洗钱规定》等法律法规的要求，金融机构应当实施客户身份识别、核对并实名登记。近年来，金融机构数字化转型升级已经实现了用户身份信息的数字化体系构建，但是随着金融服务的多样化，用户身份信息除姓名、身份证等要素之外，还包括证件图像、指纹和人脸等生物信息模板数据、数字证书等，身份信息核验因子多样。同时，用户已逐渐开始关注身份信息数据安全、隐私保护、维护便利，并增强维护自我对数据所有权、控制权、使用权的诉求，传统的数字身份体系面临诸多挑战。
1.数据孤岛，移植性弱不利于数据重复使用
数据孤岛问题贯穿于用户身份信息全生命周期。在信息收集阶段，用户在获取金融服务时重复提交身份信息的情况普遍存在，增加用户填报工作量，降低用户金融服务体验。在信息存储阶段，用户数据在各机构内部独立存储，数据通用性和移植性弱，增加社会资源消耗。在信息核验阶段，由于用户数据在各机构间存储差异性，无法实现便捷高效的跨机构身份核验。在信息变更阶段，当用户身份信息发生变更时，无法实现一次提交，多副本同时更新，导致身份信息在不同机构间存在差异。
2.隐私泄露，数据存储流转时易致安全风险
各机构按照《个人信息保护法》要求，采取加密、去标识化等安全技术措施确保个人身份信息安全，但是仍然存在单点机构发生用户身份信息泄露的风险，且数据的集中式存储，容易受到恶意第三方的撞库、拖库与洗库攻击。一旦发生泄露事件，由于用户身份数据的同一性、部分信息的不可变性以及数据泄露后复制的低成本、无限性、快速化，将会对用户金融交易和资金安全进一步造成风险。同时，因金融同业间的数据关联，不同程度的身份信息泄露的危害影响范围将进一步扩大，造成连锁反应，危害影响更为广泛和恶劣。
3.过度收集，违反收集个人信息最小化原则
《个人信息保护法》明确要求“收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息”，但是各机构为了实现更好的精准营销和多维度、精细化客群分析，趋向于引导用户过度填写身份数据或获得信息使用授权，用户数据一旦填写或授权将无法撤回，当用户意识到信息被过度收集或授权时，难以维护正当的对自我身份信息的控制权。
4.控制垄断，未能赋予用户个人信息自主权
在数字身份发展的1.0和2.0阶段，即单一应用账户和联盟身份阶段，社交、购物、媒体等大型平台服务商利用错综复杂的服务结构和盘根错节的业务条线，收集了大量用户身份信息，逐渐形成了用户数量和信息的垄断优势。基于这些大型平台的身份体系打造的联盟身份认证模式，更加剧了大型平台服务商对用户信息和鉴权的垄断地位，用户对存放在机构服务器上的个人信息不能行使自主控制权。
分布式数字身份技术应用探索
分布式数字身份技术是以密码学为基础的实现隐私保护与数据安全的数字身份认证体系。相对于传统中心化的数字身份认证体系，分布式数字身份技术通过分布式账本、分散式标识符、可验证凭证、分布式密钥体系等技术，将身份数据的所有权和控制权归还给用户自己，其更公平、透明，抗风险能力更强。
1.分布式账本技术实现用户信息分布式数据存储
分布式账本技术（Distributed Ledger Technology，DLT）是密码算法、共识机制、分布式存储等多种核心技术高度融合形成的一种基础架构与计算范式，为数字身份提供了较好的分布式存储载体。基于分布式账本的共识机制，个人信息发生变更时，整个网络中的身份信息都可以便捷实现同步更新，从而提高个人信息的完整性和一致性，有效降低“数据孤岛”问题，且分布式架构下各机构基于统一的数据结构、交换规则，提高了个人信息数据的可移植性。
2.分散式标识符实现用户信息数据隐私保护
分散式标识符（Decentralized Identifier，DID）是一种可验证的数字身份标识符。一方面，DID的获取不依赖于任何中心化的身份提供商（ID Provider，IDP），而是通过区块链等去中心化网络进行注册，降低了中心化信任风险。另一方面，一个实体可以有多个DID，并且实体间业务关系也可以关联多个DID，从而保证了用户身份数据或交易行为的匿名性和隐私性。
3.可验证凭证实现物理凭证关联
可验证凭证（Verifiable Credential，VC）是不可篡改的一个声明（Claim）或由多个声明组成的集合，实现将物理世界中的纸质证明文件电子化，利用区块链不易篡改的特性，将原始数据的Hash上链，并附上权威机构的签名，确保数据不可伪造，实现验证的权威性。一方面，基于凭证的数据共享必须经过凭证持有人的授权方可完成，大大增强了用户对于个人信息的自主控制；另一方面，基于数据属性和业务需求有选择性的对外共享，精细化授权有助于落实数据收集的最小化原则。
4.分布式密钥体系保障个人信息数据安全
分布式公钥基础设施（Decentralized Public-key Infrastructure，DPKI）是基于区块链的不依赖第三方的更加安全的PKI系统。与传统的中心化信任结构不同，在DPKI体系下，用户身份信息不再由中心化的权威机构管理，而是由身份信息所有者自主管理密钥，增强用户对个人信息的自主控制权。同时，在DPKI中，基于共识协议建立和维护的区块链充当分散式的密钥存储，可以有效防止区块链中的不良行为并限制其作用，有效保障整个系统的完整性和安全性不被任何一方进行破坏。
5.点对点通信增强数据可移植性
DID的点对点相互认证和安全通信基于DID消息协议实现，不再依赖于第三方的中心化管理规则，网络中的任意两个用户基于对规则和目标的共同理解和共识达成互动。通过用户自己管理数字凭证和密钥完成交互，实现了个人身份信息的自主控制，并提高数据的可移植性和可扩展性。
发展建议
1.制定业务监管措施
分布式数字身份技术虽然在理论模型、关键技术等方面取得了一定成果，国内如工商银行、微众银行、上海票交所和中钞集团等也进行了实践探索，但是个人身份数据的匿名化处理、分布式存储等方面还没有相应的监管规则，凭证留存等方面仍需要监管层面出台相应的业务规则和指引。
2.扩大应用场景验证
尽管分布式数字身份技术在供应链金融、普惠金融等金融场景有所应用，但大部分案例还处于初步探索阶段或内部孵化阶段，以实验性验证为主要目标，缺乏场景深度验证和普及。需要充分发挥科技公司技术供给能力，依托于金融机构丰富应用场景，逐步扩大技术和具体应用场景结合探索。
3.加强检测认证体系的建设
分布式数字身份技术作为一种融合技术，仍面临算法验证工具缺乏、性能和容量较低等问题。目前尚缺乏一套完整的关于分布式数字身份系统技术可信、性能可靠的验证机制和认证体系，应加强对检测认证技术体系的研究和探索，搭建一套科学、合理、必要的检测认证体系。
4.促进形成行业共识
分布式数字身份技术体系的建立意味着应用推广仅仅依靠某一家机构或某一个组织是行不通的。应从顶层加强政策引导、从行业层加强宣传普及，使金融行业充分认识到分布式数字身份体系的内在价值，逐渐形成行业广泛共识，推动技术发展和应用的落地。
结束语
目前，数字身份技术的发展仍然处在单一应用账户和联盟身份阶段，随着用户对隐私数据安全重视程度的提升，以及对数据自主权诉求的增强，金融机构势必要建立一套满足用户对个人身份信息保护需求的全新体系，分布式数字身份技术或将成为突破口。未来，需要产业各方加强分布式数字身份的研究与应用，在保障个人信息安全的前提下，促进金融数据流通融合，激发数据要素价值，为推动构建数字经济社会提供技术支撑。
—数据来源：金融电子化